CVE-2024-43572
Microsoft Windows Management Console Remote Code Execution Vulnerability
Beschreibung
CVE-2024-43572 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in der Microsoft Management Console (MMC), die es einem Angreifer ermoeglicht, ueber manipulierte MSC-Dateien beliebigen Code auf dem Zielsystem auszufuehren. Die Schwachstelle wird mit einem CVSS-Score von 7.8 (HIGH) bewertet und betrifft praktisch alle unterstuetzten Windows-Versionen einschliesslich Windows Server 2008 und neuer.
Die CISA hat CVE-2024-43572 aufgrund aktiver Ausnutzung in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-10-29. Der EPSS-Score von 44,59 % (97,5. Perzentil) signalisiert eine sehr hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als "Unknown" klassifiziert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.20796 |
| microsoft | windows 10 1607 | < 10.0.14393.7428 |
| microsoft | windows 10 1809 | < 10.0.17763.6414 |
| microsoft | windows 10 21h2 | < 10.0.19044.5011 |
| microsoft | windows 10 22h2 | < 10.0.19045.5011 |
| microsoft | windows 11 21h2 | < 10.0.22000.3260 |
| microsoft | windows 11 22h2 | < 10.0.22621.4317 |
| microsoft | windows 11 23h2 | < 10.0.22631.4317 |
| microsoft | windows 11 24h2 | < 10.0.26100.2033 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.7428 |
| microsoft | windows server 2019 | < 10.0.17763.6414 |
| microsoft | windows server 2022 | < 10.0.20348.2762 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.1189 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43572(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-43572(US Government Resource)
Schwachstellentyp
Remote Code Execution ueber Microsoft Management Console
CVE-2024-43572 betrifft die Microsoft Management Console (MMC), ein zentrales Windows-Verwaltungstool, das MSC-Snap-In-Dateien verarbeitet. Die Schwachstelle ermoeglicht Remote Code Execution durch das Oeffnen einer manipulierten MSC-Datei. MSC-Dateien sind in Unternehmensumgebungen weit verbreitet und werden haeufig von Administratoren fuer Systemverwaltungsaufgaben genutzt.
Die Gefaehrlichkeit dieser Schwachstelle liegt in der Vertrauensstellung, die MSC-Dateien in Windows-Umgebungen geniessen. Administratoren arbeiten regelmaessig mit diesen Dateien, was die Wahrscheinlichkeit einer erfolgreichen Social-Engineering-Attacke erhoeht.
Weitere Informationen: CWE-94 -- Improper Control of Generation of Code ('Code Injection')
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-43572 sind schwerwiegend, da ein Angreifer die vollstaendige Kontrolle ueber das betroffene System erlangen kann. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt einen lokalen Angriffsvektor bei niedriger Komplexitaet mit Benutzerinteraktion. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermoeglicht den Zugriff auf alle Daten, die dem ausfuehrenden Benutzer zugaenglich sind, einschliesslich sensibler Unternehmensdaten und Zugangsdaten. Integritaet (Hoch): Der Angreifer kann beliebige Aenderungen am System vornehmen, Schadsoftware installieren und Systemeinstellungen manipulieren. Verfuegbarkeit (Hoch): Das System kann vollstaendig kompromittiert oder ausser Betrieb gesetzt werden.
Der EPSS-Score von 44,59 % (97,5. Perzentil) platziert CVE-2024-43572 unter den am haeufigsten ausgenutzten 2,5 % aller bekannten Schwachstellen. Besonders gefaehrlich ist die Schwachstelle in Unternehmensumgebungen, in denen Administratoren regelmaessig mit MMC-Snap-Ins arbeiten und MSC-Dateien per E-Mail oder ueber Netzlaufwerke austauschen.
Exploit-Reifegrad
CVE-2024-43572 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-10-29 in den KEV-Katalog aufgenommen. Der EPSS-Score von 44,59 % (97,5. Perzentil) unterstreicht die hohe Ausnutzungswahrscheinlichkeit.
Microsoft hat im Oktober 2024 Sicherheitsupdates im Security Update Guide fuer CVE-2024-43572 veroeffentlicht. Als Reaktion auf die Schwachstelle hat Microsoft zudem das Oeffnen nicht vertrauenswuerdiger MSC-Dateien in der MMC blockiert, was eine signifikante Aenderung im Sicherheitsverhalten der Komponente darstellt. Der Ransomware-Status ist als "Unknown" klassifiziert, eine Nutzung in Ransomware-Kampagnen kann jedoch nicht ausgeschlossen werden, da die Schwachstelle einen idealen initialen Zugriffsvektor bietet.
Behebung
-
Windows-Sicherheitsupdates umgehend installieren: Installieren Sie die kumulativen Sicherheitsupdates vom Oktober 2024 fuer alle betroffenen Windows-Versionen. Konsultieren Sie den Microsoft Security Update Guide fuer CVE-2024-43572 fuer die spezifischen KB-Artikel.
-
MSC-Dateien aus nicht vertrauenswuerdigen Quellen blockieren: Konfigurieren Sie E-Mail-Gateways und Web-Proxys, um MSC-Dateien als Anhaenge zu blockieren. Implementieren Sie Gruppenrichtlinien, die das Oeffnen von MSC-Dateien aus dem Internet oder unbekannten Quellen verhindern.
-
Windows Server-Systeme priorisieren: Besonders Windows Server 2008, 2012, 2016, 2019 und 2022 muessen dringend gepatcht werden, da MMC auf Servern ein zentrales Verwaltungswerkzeug ist und Administratoren dort haeufiger mit MSC-Dateien arbeiten.
-
Benutzerrechte einschraenken: Stellen Sie sicher, dass regulaere Benutzer nicht mit Administratorrechten arbeiten. Dies begrenzt den Schaden bei einer erfolgreichen Ausnutzung erheblich, da der ausgefuehrte Code nur die Rechte des angemeldeten Benutzers erhaelt.
-
Netzwerksegmentierung ueberpruefen: Isolieren Sie kritische Systeme und beschraenken Sie den Dateiaustausch zwischen Netzwerksegmenten. Ueberpruefen Sie, ob Netzlaufwerke mit MSC-Dateien auf notwendige Benutzer beschraenkt sind.
Technische Details
CVE-2024-43572 betrifft die Microsoft Management Console ueber alle gaengigen Windows-Versionen, darunter Windows 10 (ab 1507), Windows 11 (ab 21H2) sowie Windows Server 2008 bis Windows Server 2022 23H2. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriff mit maximalen Auswirkungen auf Vertraulichkeit, Integritaet und Verfuegbarkeit. Angriffsvektor (Lokal): Der Angriff erfordert das lokale Oeffnen einer manipulierten MSC-Datei, die typischerweise per E-Mail, ueber ein Netzlaufwerk oder einen Download zugestellt wird. Angriffskomplexitaet (Niedrig): Keine speziellen Bedingungen oder Vorbereitungen erforderlich. Berechtigungen (Keine): Der Angreifer benoetigt keine vorherige Authentifizierung. Benutzerinteraktion (Erforderlich): Das Opfer muss die manipulierte MSC-Datei aktiv oeffnen.
Der Angriffsmechanismus basiert auf der fehlerhaften Verarbeitung speziell praeparierter MSC-Snap-In-Dateien durch die Microsoft Management Console. MSC-Dateien koennen COM-Objekte laden und ausfuehren, was bei fehlender Validierung die Ausfuehrung beliebigen Codes ermoeglicht. Microsoft hat als Teil des Patches das Verhalten der MMC geaendert, sodass nicht vertrauenswuerdige MSC-Dateien nicht mehr direkt geoeffnet werden koennen.
Häufig gestellte Fragen
Was sind MSC-Dateien und warum sind sie gefaehrlich?
MSC-Dateien sind Microsoft Management Console Snap-In-Dateien, die Verwaltungswerkzeuge kapseln. Sie werden von Systemadministratoren fuer Aufgaben wie Festplattenverwaltung, Dienste-Management und Gruppenrichtlinienkonfiguration verwendet. Ihre Gefaehrlichkeit liegt darin, dass sie COM-Objekte laden und Code ausfuehren koennen, was sie zu einem attraktiven Angriffsvektor macht.
Kann der Angriff ohne Benutzerinteraktion erfolgen?
Nein, der CVSS-Vektor gibt explizit "User Interaction: Required" an. Ein Benutzer muss die manipulierte MSC-Datei aktiv oeffnen. Typische Angriffsszenarien umfassen Phishing-E-Mails mit MSC-Dateianhaengen oder das Platzieren manipulierter Dateien auf gemeinsam genutzten Netzlaufwerken.
Warum sind auch aeltere Windows-Server-Versionen betroffen?
Die Microsoft Management Console ist eine Kernkomponente aller Windows-Versionen seit Windows 2000. Da die Schwachstelle in der grundlegenden Verarbeitung von MSC-Dateien liegt, sind auch aeltere Versionen wie Windows Server 2008 und 2012 betroffen. Dies ist besonders kritisch, da auf Servern haeufiger mit MMC-Verwaltungswerkzeugen gearbeitet wird.
Wie schuetzt das Sicherheitsupdate vor der Schwachstelle?
Microsoft hat neben dem eigentlichen Patch auch das Verhalten der MMC geaendert: Nicht vertrauenswuerdige MSC-Dateien werden nicht mehr direkt geoeffnet. Dies ist eine praventive Massnahme, die zukuenftige aehnliche Angriffe verhindern soll, und stellt eine wichtige verhaltensaendernde Sicherheitsverbesserung dar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.